計算機網絡安全大事件分析及防范(二)

與政府或企業網相比，高校校園網的以下特點導致安全管理非常復雜:

1.校園網的速度快和規模大。高校校園網是最早的寬帶網絡，普遍使用的以太網技術決定了校園網最初的帶寬不低于10Mbps，目前普遍使用了百兆到桌面、千兆甚至萬兆實現園區主干互聯。校園網的用戶群體一般也比較大，少則數千人、多則數萬人。中國的高校學生一般集中住宿，因而用戶群比較密集。正是由于高帶寬和大用戶量的特點，網絡安全問題一般蔓延快、對網絡的影響比較嚴重。

2.開放的網絡環境。由于教學和科研的特點決定了校園網絡環境應該是開放的、管理也是較為寬松的。比如，企業網可以限制允許Web瀏覽和電子郵件的流量，甚至限制外部發起的連接不允許進入防火墻，但是在校園網環境下通常是行不通的，至少在校園網的主干不能實施過多的限制，否則一些新的應用、新的技術很難在校園網內部實施。

3.活躍的用戶群體。高等學校的學生通常是最活躍的網絡用戶，對網絡新技術充滿好奇，勇于嘗試。如果沒有意識到后果的嚴重性，有些學生會嘗試使用網上學到的、甚至自己研究的各種攻擊技術，可能對網絡造成一定的影響和破壞。

　　四、加強網安全管理措施的建議

    首先，加強網安全管理政策建設。安全政策是一個組織安全管理的需求說明，它是執行各項管理制度、技術措施的依據，一般規定“做什么”而不是“怎么做”，告訴用戶哪些行為是允許的、哪些行為是不允許的，違反了這些約定將會受到怎樣的處罰。一個可行的安全政策應該根據我國的相關法律、法規以及學校的管理制度和具體情況制定，不存在通用的、可實施的安全政策。

    加強安全組織建設。比如，成立信息安全管理委員會和專門的辦公室。另外，安全管理各項措施的實施,單純依靠網絡中心的力量也是不充分的。院/系/處/宿舍安全管理分級負責的組織體系建設仍然是必要的。加強用戶安全意識和管理員安全技術的培訓工作非常重要。對于新用戶的安全意識的培訓，新生入學教育和新員工上崗培訓是兩個比較好的時間，也可以開展一些職工的在職培訓、學生的文化課、選修課等形式的安全意識培訓和基本技能的培訓。對于系統管理員，一定要重視上崗培訓。IPv6 對網絡安全的影響隨著中國下一代互聯網示范工程CNGI項目的建設，以IPv6技術為核心的下一代互聯網建設和研究在我國已經普遍展開，尤其是在教育和科研領域。目前CNGI實驗網之一CERNET2已經于2004年底開通，即將有二十多所大學接入CERNET2。

IPv6技術在一定程度上改善了網絡安全問題，但是許多安全問題仍然存在。IPv6最重要的安全增強是將IPSec作為強制標準實施，保證了網絡層數據的保密性和完整性。然而，大規模部署IPSec所依賴的PKI在IPv6網絡上仍然不存在，因此IPSec的廣泛實施仍是很遙遠的事情。而且， IPSec的信息加密給當前的入侵檢測等技術帶來了新的挑戰，目前的網絡的審計機制、防火墻機制都有可能受到影響。

不過，IPv6 作為一項發展中的新技術，給我們解決安全問題提供了一個新的機遇。比如，IPv6無盡的地址空間允許我們給所有聯網設備分配一個真實的IP地址，無需地址轉換，這對于加強安全管理和攻擊追蹤提供了可行的機制。利用IPv6的特點，研究和開發下一代互聯網安全技術和系統，給我國教育和科研領域的研究人員提供了一個新的機遇。

互聯網的各種安全威脅在校園網的運行和管理中表現得尤為突出，加強校園網的安全管理是當前非常迫切、充滿挑戰的任務。CERNET網絡中心在安全管理方面已經采取了許多安全措施，在以后的工作中將以安全管理和技術的交流、培訓和協調為工作重點；各高校校園網應加強安全政策、安全管理組織和技術培訓，增大安全管理的投入，共同做好校園網的安全管理工作，建設一個安全、可信的教育和科研網絡環境。